Faille WPSplinter dans les routeurs Broadcom : comment travailler en sécurité sur un réseau que vous ne pouvez pas vérifier

Le mot de passe Wi-Fi est généralement considéré comme le verrou du réseau : sans lui, on reste dehors. Cette idée vous accompagne aussi à l’hôtel, dans une location de vacances ou chez un client. Dans tous ces lieux, vous vous connectez à un routeur installé et entretenu par quelqu’un d’autre. Une étude publiée ce mois-ci montre que, sur de nombreux routeurs équipés de puces Broadcom, une personne à portée du Wi-Fi peut prendre le contrôle du routeur sans connaître le mot de passe. C’est une raison de revoir cette habitude : ne pas faire confiance au réseau local, mais protéger le trafic avant même qu’il ne l’atteigne.

Ce qui a été découvert

La faille. Le chercheur Quentin Kaiser a publié le 16 octobre 2026 ses conclusions sur une faille appelée WPSplinter. Elle se trouve dans le code de Broadcom qui gère le WPS, la fonction permettant de connecter un appareil au réseau sans fil en appuyant sur un bouton, sans saisir de mot de passe. Selon le chercheur, le code vulnérable figure dans le kit logiciel de Broadcom depuis au moins 2010. Il peut être exécuté à distance par Wi-Fi, sans la clé du réseau et sans terminer un appairage WPS normal. La faille permet d’extraire des informations de la mémoire du routeur et d’y exécuter du code, donc d’en prendre le contrôle. Dans l’une de ses démonstrations, le chercheur a extrait le mot de passe Wi-Fi d’un routeur Orange Belgium, puis l’a utilisé pour rejoindre le réseau. Sur un routeur Proximus, il a ouvert un canal de commande à distance par le Wi-Fi lui-même. Selon lui, l’attaque fonctionne aussi à grande distance.

L’étendue du problème. Selon le chercheur, le problème concerne des dizaines de fabricants, des centaines de produits et des millions de points d’accès dans le monde, ces appareils qui émettent le signal Wi-Fi. Pour les anciennes puces qui utilisent le système d’exploitation eCos (BCM3380, BCM3383, BCM33834), il qualifie la faille de « forever day » : une faille pour laquelle aucun correctif n’est attendu. Pour les puces fonctionnant sous Linux, comme BCM3390, BCM65xx et BCM68xx, un correctif n’est possible que si le fabricant de l’appareil passe à un autre composant logiciel.

Pourquoi il n’y a pas de correctif. Selon le chercheur, Broadcom a publié un correctif partiel en 2018 sans annonce publique et a recommandé aux fabricants de passer à une nouvelle version du kit logiciel. Il indique que l’entreprise a refusé d’attribuer à la faille un numéro CVE, l’identifiant public utilisé par les fournisseurs et les administrateurs réseau pour suivre les vulnérabilités. Il estime que cela explique pourquoi de nombreux fabricants n’ont pas corrigé la faille. Au 15 octobre, aucun des appareils vulnérables qu’il avait identifiés n’avait reçu de mise à jour.

Le cas de la Belgique. Le chercheur a démontré la faille sur des routeurs de trois des quatre principaux fournisseurs d’accès à Internet en Belgique. Il estime que des centaines de milliers de routeurs sont concernés chez chacun d’eux, avec un degré de confiance moyen dans cette estimation. Dans une mise à jour du 20 octobre, il a écrit que Proximus avait désactivé le WPS à distance sur tous ses routeurs à titre provisoire et terminerait la mise à jour dans les semaines suivantes. Il a aussi indiqué qu’Orange Belgium étudiait une mesure similaire et que le quatrième fournisseur, Telenet, n’était pas touché. Certains articles ont indiqué que Telenet pouvait être concerné ; la mise à jour du chercheur précise que ce n’est pas le cas. Il souligne que le problème ne se limite pas à la Belgique.

Une alerte officielle. ThaiCERT, l’équipe thaïlandaise de réponse aux incidents de cybersécurité, a publié une alerte. Elle indique que le principal risque est une exploitation ciblée de la faille depuis un emplacement à portée du Wi-Fi, y compris sur les réseaux publics et dans les hôtels. Les routeurs font en effet l’objet de peu d’attention dans la surveillance de la sécurité des réseaux. L’alerte recommande d’identifier les modèles des appareils, de suivre les mises à jour du micrologiciel — le logiciel intégré au routeur — proposées par le fabricant ou le fournisseur d’accès, et d’envisager de remplacer les appareils d’une gamme qui ne peut pas être corrigée.

Une liste plus large. Selon The Hacker News, une liste plus large publiée par le chercheur comprend notamment des points d’accès Cisco pour les petites entreprises et des routeurs Huawei et ARRIS. Elle contient toutefois à la fois des modèles dont la vulnérabilité a été confirmée et des modèles seulement signalés comme « probablement vulnérables » par une vérification automatique. Selon le même article, le chercheur n’a pas signalé d’attaques réelles ; les démonstrations sont les siennes.

Ce que cela signifie pour vous

Le mot de passe ne détermine plus qui peut entrer. La plupart des conseils de sécurité pour un réseau domestique commencent et s’arrêtent au choix d’un mot de passe fort. Cette faille permet de s’en passer entièrement : une personne à portée du Wi-Fi n’a rien à deviner. Dans la démonstration du chercheur, le mot de passe lui-même a été volé.

Le correctif ne dépend pas de vous. Le routeur installé chez vous par votre fournisseur d’accès lui appartient généralement. Son micrologiciel n’est mis à jour que lorsque le fournisseur le décide. La correction du code vulnérable doit passer par le fabricant de la puce, celui du routeur, puis le fournisseur d’accès avant d’arriver chez vous. Dans ce cas, selon le chercheur, le défaut existe depuis 16 ans et le correctif partiel de 2018 n’a pas atteint les appareils vulnérables qu’il a identifiés. Sans numéro CVE, il est aussi plus difficile pour vous ou votre responsable informatique de poser une question simple : « Mon appareil a-t-il reçu une mise à jour contre cette faille ? »

La plupart des réseaux que vous utilisez ne sont pas les vôtres. À l’hôtel, dans une location, dans un bureau partagé ou chez un client, vous n’avez aucun moyen de savoir quelle puce équipe le routeur ni quand il a été mis à jour pour la dernière fois. Le chercheur précise lui-même que ces failles se prêtent particulièrement aux attaques menées par un « voisin proche » et aux intrusions dans les réseaux d’hôtels. ThaiCERT cite aussi ces scénarios. En pratique, il faut donc partir du principe que tout réseau local peut être compromis, y compris celui de la maison.

Ce que peut faire une personne qui contrôle le routeur. Tout votre trafic passe par le routeur. Selon le chercheur, en prendre le contrôle permet de recueillir ce trafic et de le modifier. La personne qui le contrôle peut lire tout ce qui y passe sans chiffrement et voir quels sites les appareils consultent. Elle peut aussi modifier les réponses DNS — le service qui traduit un nom de site en adresse numérique — pour vous rediriger vers un faux site. Avec le mot de passe obtenu et sa position sur le réseau, elle peut également tenter d’accéder à d’autres appareils de la maison ou du bureau, comme les caméras, les imprimantes et les ordinateurs.

La protection doit commencer sur l’appareil. Il est préférable de chiffrer le trafic sur l’appareil, avant qu’il ne passe par le routeur. Lorsque l’appareil envoie tout son trafic, y compris les requêtes DNS, dans un tunnel chiffré vers un serveur auquel vous faites confiance, le contenu qui traverse le réseau local n’est pas lisible par les personnes qui s’y trouvent. Le routeur doit être traité séparément : il faut le mettre à jour et, si nécessaire, le remplacer. Les deux mesures se complètent.

Ce ne sera probablement pas la dernière fois. Le chercheur écrit que l’étude aurait pris des mois, mais qu’avec l’aide de modèles avancés d’intelligence artificielle, elle a été terminée en moins d’une semaine. Nous estimons que cela signifie que le code ancien des routeurs et des appareils domestiques sera examiné plus vite qu’auparavant, et que d’autres découvertes seront publiées. Ce n’est pas une raison de s’alarmer, mais d’adopter des habitudes qui ne dépendent pas de la mise à jour de chaque routeur utilisé.

Et en Israël ? Le chercheur précise que les fabricants concernés sont aussi présents sur des marchés en dehors de la Belgique. Mieux vaut donc vérifier que supposer.

Que faire maintenant

• Identifiez votre routeur. Le modèle figure généralement sur une étiquette sous l’appareil. Vérifiez s’il apparaît dans la liste des appareils vers laquelle le chercheur renvoie depuis son article. Selon The Hacker News, certains modèles de la liste ont seulement été signalés comme « probablement vulnérables ».
• Interrogez directement votre fournisseur d’accès. Mon routeur est-il concerné par la faille des puces Broadcom publiée en octobre 2026 (WPSplinter) ? Quand une mise à jour du micrologiciel sera-t-elle disponible ? Avez-vous désactivé le WPS à distance à titre provisoire, comme l’a fait Proximus ?
• Remplacez le matériel qui n’est plus pris en charge. Si votre routeur utilise l’une des puces eCos de la liste, ou si le fournisseur ne s’engage pas à le mettre à jour, demandez son remplacement ou envisagez de passer à un routeur encore pris en charge.
• Désactivez le WPS si vous ne l’utilisez pas, uniquement comme mesure complémentaire. Selon The Hacker News, le chercheur n’a pas indiqué de réglage qui bloque l’attaque. La mise à jour ou le remplacement restent donc les principales mesures à prendre.
• Changez le mot de passe Wi-Fi après la mise à jour ou le remplacement, car la démonstration a montré qu’il pouvait être extrait du routeur.
• Chiffrez votre trafic sur tous les réseaux, même à la maison. Gardez un VPN actif sur votre téléphone et votre ordinateur. À l’hôtel, dans une location ou chez un client, connectez-vous au VPN avant toute autre action. Vous pouvez vérifier que la connexion est active sur la page מה כתובת ה-IP שלי.
• Activez l’authentification en deux étapes sur les comptes importants, pour qu’un mot de passe divulgué ne suffise pas à lui seul.
• Pour les entreprises : recensez tous les routeurs et points d’accès du bureau, y compris le matériel destiné aux petites entreprises. Demandez à votre prestataire informatique de les comparer à la liste et de consigner les mises à jour effectuées.

Comment nuVPN vous aide

• Un chiffrement qui commence sur l’appareil. Avec nuVPN, le trafic est chiffré avant de quitter l’appareil et n’est pas lisible par les personnes présentes sur le réseau. Il passe dans un tunnel chiffré vers un serveur que vous êtes seul à utiliser.
• Le DNS dans le tunnel. Toutes les requêtes DNS passent dans le tunnel chiffré. La liste des sites que vous consultez reste donc elle aussi à l’intérieur.
• Kill Switch. Si le tunnel se déconnecte, la connexion est bloquée. Le trafic ne continue donc pas à sortir du tunnel à votre insu.
• Votre propre serveur et votre propre adresse IP. L’offre dédiée vous donne un serveur privé et une adresse IP fixe, sans utilisateurs tiers sur la connexion et sans surface d’attaque partagée.
• Mode de protection renforcée. Un protocole avancé qui ajoute une couche de protection et convient particulièrement au Wi-Fi public et aux réseaux non fiables.
• La protection nuDefend, incluse dans chaque offre. Les sites que l’appareil recherche via nuVPN sont comparés à une liste de plus de 340,000 sites dangereux connus. Chaque connexion est vérifiée, en entrée et en sortie, par rapport à environ 50,000 adresses d’attaquants connus. Les listes sont mises à jour quotidiennement, et votre espace personnel affiche le nombre de menaces bloquées pour vous.
• Une protection pour toute la maison avec votre propre routeur. Les routeurs des fournisseurs d’accès peuvent rester tels quels. La solution simple consiste à y brancher un petit routeur de voyage auquel les appareils se connecteront. nuVPN sur le routeur protège aussi les téléviseurs, les consoles et les caméras sur lesquels il n’est pas possible d’installer une application, dès qu’ils se connectent à son Wi-Fi.
• Pour les équipes. nuVPN pour les entreprises fournit à toute l’équipe un serveur dédié unique avec une IP fixe, un tunnel chiffré et un blocage intégré des domaines de phishing et de logiciels malveillants pour chaque appareil, quel que soit l’endroit où les employés se connectent.

En bref

WPSplinter rappelle que le routeur de la maison, du bureau ou de l’hôtel est un appareil que la plupart d’entre nous ne peuvent ni vérifier ni mettre à jour eux-mêmes. Selon le chercheur, des millions de points d’accès sont concernés, et aucun correctif n’est attendu pour certains d’entre eux. Plutôt que de s’alarmer, il est possible d’agir sur deux fronts : vérifier son routeur, demander une mise à jour et remplacer le matériel qui n’est plus pris en charge ; et, sur chaque réseau utilisé, chiffrer le trafic sur l’appareil lui-même.